RATATOSKRATATOSK
ログイン

SPIRE

v1.16.0Security
2026年11月5日

CHECK 6PLAN 2OTHER 40

実験的な機能や外部連携の追加に加え、既存の設定や動作に影響する変更、削除、非推奨化を含むリリースです。広範な正確性と性能の改善も含まれています。

影響確認 (6)

  • securityコンテナロケーターの mountinfo fallback を削除

    docker または k8s ワークロードアテスターを使用している場合に適用されます。

    コンテナロケーターから mountinfo fallback が削除されました。偽造できる情報を利用していたためです。

  • breakingエージェント SPIFFE ID の配置要件を変更

    外部プラグインを使用しているか、agent_path_template を設定している場合に適用されます。

    エージェントの SPIFFE ID は /spire/agent 配下に置く必要があります。これ以外の ID を生成するアテステーションは、実験的設定 allow_nonconforming_agent_ids を設定しない限り失敗します。

  • breakingルートレス Podman のアテステーションにオプションが必要

    ルートレス Podman で docker ワークロードアテスターを使い、use_rootless_podman を設定していない場合に適用されます。

    ルートレス Podman のワークロードアテステーションでは、docker ワークロードアテスターに use_rootless_podman オプションを設定する必要があります。

  • breakingBroker API による JWT-SVID の提供を終了

    管理用エントリーまたは下流エントリーで Broker API を使用している場合に適用されます。

    Broker API は、管理用エントリーや下流エントリーに対して JWT-SVID を提供しなくなりました。

  • breakingca_journals に journal_id 列を追加

    disable_migration を設定している場合に適用されます。

    sql データストアの ca_journals テーブルに、将来の利用に備えた journal_id 列が追加されます。disable_migration を設定しているデプロイでは、このスキーマ移行への対応が必要です。

  • breakinguse_sync_authorized_entries を削除

    use_sync_authorized_entries を設定している場合に適用されます。

    エージェントオプション use_sync_authorized_entries が削除されました。

事前準備 (2)

  • deprecatedNotifier plugins を非推奨化

    Notifier プラグインを使用している場合に適用されます。

    Notifier plugins は非推奨となり、BundlePublisher plugins が代替として扱われます。

  • deprecatedOIDC Discovery Provider の証明書設定を整理

    acme または serving_cert_file を設定している場合に適用されます。

    OIDC Discovery Provider の acme セクションと serving_cert_file セクションは非推奨となり、serving_cert_source が代替になります。

その他の記録済み変更 40 件すべてadditions 18 · fixes 13 · value changes 6 · constraints 2 · defaults 1

additions (18)

  • Experimental WIT-SVID support, enabled with the enable_wit_svids server and agent options, including Workload API methods, a spire-agent api fetch wit CLI command, an agent-side WIT-SVID cache, per-entry and default (default_wit_svid_ttl) WIT-SVID TTLs, and publishing of WIT signing keys through the spire UpstreamAuthority plugin (#7243, #7244, #7273, #7282, #7302, #7306, #7354)
  • kmip KeyManager plugin for storing keys in KMIP-compliant servers (#7235)
  • Microsoft Entra ID authentication for Azure PostgreSQL and MySQL in the sql datastore (#7279)
  • In-process log file rotation via the log_file_rotation agent and server option (#7229)
  • Support for triggering a log file reopen on Windows, and external tools can now move or delete the log file on Windows (#7248, #7269)
  • Experimental use_xds agent option to resolve the SPIRE server via xDS (#7256)
  • Experimental server_load_balancing_config agent option to configure the load balancing policy used for connections to the server (#7241)
  • Experimental agent options to configure the sync retry backoff (sync_retry_backoff), rpc_timeout and max_bundle_workers (#7093, #7286)
  • bootstrap_bundle_path option on federates_with to bootstrap https_spiffe federation trust from a file (#7260)
  • serving_cert_source section in the OIDC Discovery Provider, including a workload_api variant that serves HTTPS using an X509-SVID from the Workload API (#7285)
  • audit_log_exclude_agent_sync server option to omit successful bundle and authorized-entry read audit records (#7328)
  • group_template and allowed_groups options in the x509pop node attestor to produce group selectors (#7002)
  • extension_oids option in the x509pop node attestor to expose certificate extensions as selectors (#7327)
  • Subject attribute selectors by OID in the tpm_devid node attestor (#7312)
  • Optional verify_client_ip in the sshpop and http_challenge node attestors (#7191, #7240)
  • trust_bundle_path option in the azure_imds node attestor for additional root CAs (#7143)
  • exclude_completed_pods option in the k8s workload attestor to drop completed pods from the kubelet cache (#7177)
  • CA rotation horizon metrics (#7325)

fixes (13)

  • The agent retries NewJWTSVID with backoff on transient errors (#7169)
  • Cached SVIDs are invalidated when their registration entry changes substantially, preventing workloads from receiving SVIDs issued for a different entry (#7310)
  • LRU cache subscribers now match on complete selector sets (#7257)
  • aws_secretsmanager and gcp_secretmanager SVIDStore plugins now handle federated bundles with multiple or no roots (#7309)
  • The server keeps processing bundle updates after a single failure (#7319)
  • Bundle subscribers are notified when a bundle is removed (#7331)
  • The OIDC Discovery Provider now allows CORS (#7224)
  • The rotator failure count is reset after a successful rotation (#7254)
  • log_file is no longer opened when validating configuration (#7247)
  • The agent and server no longer exit as crashed on gRPC context canceled errors during startup (#7274)
  • No more spurious warning on profiling server shutdown (#7211)
  • The server CA now honors upstream X.509 chain expiry during rotation (#7303)
  • The agent no longer panics during workload attestation when sigstore verification meets a signature that has a Rekor entry but no Rekor bundle (#7363)

value changes (6)

  • The cache_manager/expiring_svids and cache_manager/outdated_svids samples now carry an svid_type label (X509 or WIT), so counts are reported per SVID type (#7244)
  • DNS names are case-folded before IDNA validation (#7255)
  • Reduced database load for entry writes, attested node cache rebuilds and agent authorization (#7182, #7218, #7304)
  • Reduced memory usage when fetching kubelet pod lists (#7320)
  • Fulcio roots are now loaded through sigstore-go TUF APIs, honoring TUF_ROOT and SIGSTORE_NO_CACHE (#7263)
  • Updated Go to 1.27.3 (#7252, #7267, #7346, #7353)

constraints (2)

  • The k8s_psat node attestor now rejects attestations when the fetched pod UID does not match the token's pod UID (#7117)
  • Pagination tokens larger than 32 bits are now accepted by the datastore (#7201)

defaults (1)

  • The k8s workload attestor broker configuration now applies sensible defaults, so brokers no longer need to be specified twice (#7187)
SPIREをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチと破壊的変更も、その一例です。

スタックに追加 →
公式リリースノート ↗SPIREのリリース一覧 →